Hash函數(shù)GOST R和分組密碼算法ITUbee、KASUMI的分析.pdf

1、隨著終端計算能力的提升和互聯(lián)技術的發(fā)展，信息化正在逐步普及，深入到各個領域和人們的日常生活中。與此同時，通信安全、隱私保護等信息安全問題也日益凸顯。密碼技術是保障信息安全的關鍵技術，對密碼算法的安全性分析有利于發(fā)現(xiàn)算法中存在的不足，確保密碼技術的安全應用，因而具有重要意義。Rebound攻擊技術由Mendel等人提出，是分析基于AES類置換Hash函數(shù)的有效手段。目前該技術也應用在其他結構的Hash函數(shù)以及分組密碼算法的分析中。2010

2、年，Gilbert等人提出了大s盒技術推動了該技術的進步與發(fā)展。
　　本文以Rebound攻擊技術為主要分析手段，研究Hash函數(shù)和分組密碼算法的安全性，共分為兩部分:第一部分屬于Rebound攻擊技術的典型應用，給出俄羅斯新Hash函數(shù)標準GOST R34.11-2012首個安全性分析結果;第二部分將Rebound攻擊、大s盒技術與錯誤攻擊結合，給出了分組密碼算法ITUbee和KASUMI的錯誤攻擊新方法。
　　1、俄羅斯

3、新Hash函數(shù)標準GOST R34.11-2012的安全性分析
　　2012年8月，俄羅斯政府宣布了Stribog算法作為國家新Hash函數(shù)標準GOST R34.11-2012。Stribog算法由Grebnev等人設計，其壓縮函數(shù)的輪函數(shù)為AES類置換。應用Rebound攻擊技術，我們給出4.5、5.5、7.5和9.5輪的Stribog壓縮函數(shù)碰撞結果。其中9.5輪攻擊的計算復雜度為2176次輪函數(shù)運算，存儲復雜度為2128字節(jié)

4、。這一結果也是對Stribog算法的首個分析結果。利用有限生日攻擊區(qū)分器，可以將9.5輪的壓縮函數(shù)碰撞攻擊轉化為10輪的壓縮函數(shù)區(qū)分攻擊。
　　由于Stribog算法在結構上采用了模加的消息校驗和，其壓縮函數(shù)的碰撞并不能直接導致Hash函數(shù)的碰撞。2014年ACNS會議上，Ma等人提出利用多個碰撞的消息分組構造Stribog Hash函數(shù)碰撞的方法。他們利用生日攻擊，計算出構造Hash函數(shù)碰撞所需的消息分組數(shù)為64。事實上，由于模

5、加的特性，生日攻擊前提假設無法滿足，64個消息分組并不足以構造Hash函數(shù)碰撞。本文針對構造Stribog Hash函數(shù)碰撞所需的精確分組數(shù)展開討論，重新計算構造Stribog Hash函數(shù)碰撞所需的消息分組數(shù)為106。
　　2、分組密碼ITUbee的差分錯誤攻擊
　　ITUbee分組密碼算法由Karako(c)等人在LightSec2013上提出，密鑰長度為80比特，采用Feistel結構。該算法沒有密鑰生成方案，易于軟件

6、實現(xiàn)，是一個適用于資源受限環(huán)境的輕量級算法。以該算法為例，本文給出了結合Rebound攻擊技術和大s盒技術的差分錯誤攻擊新方法。在我們的攻擊中，2次隨機字節(jié)錯誤注入就足以對ITUbee算法的全部密鑰進行恢復。該攻擊的計算復雜度約為243次輪函數(shù)運算。通過增加錯誤注入次數(shù)，還可以進一步降低計算復雜度。當錯誤注入達到4次時，攻擊復雜度降為225次輪函數(shù)運算，在普通PC機上幾秒鐘即可恢復全部密鑰。
　　3、分組密碼KASUMI的安全性分

7、析
　　KASUMI分組密碼算法是A5/3密碼系統(tǒng)的基礎，被廣泛應用于保護GSM和3G設備中。KASUMI算法的密鑰長度為128比特，但由于版本兼容性問題，大量GSM設備中使用64比特密鑰。
　　結合大s盒技術并利用KASUMI算法輪函數(shù)和密鑰編排的特性，我們給出64比特密鑰下KASUMI算法新的錯誤攻擊結果。在單次字錯誤注入模型下即可完成攻擊，計算復雜度約為232次加密運算。通過仿真測試，我們驗證了該攻擊的有效性一在普通P